Замена Splunk для SIEM

Проблема: Splunk ушёл из России

В 2022 году Splunk (как и многие другие западные вендоры) приостановил деятельность в России. Последствия для компаний, использующих Splunk для SIEM (Security Information and Event Management):

• Прекращение продаж — новые лицензии не купить
• Прекращение поддержки — обновления, патчи безопасности недоступны
• Отключение облаков — Splunk Cloud недоступен
• Юридические риски — использование нелицензионного ПО
• Несоответствие ФСТЭК — требования к отечественному ПО для критической инфраструктуры

Сколько стоит Splunk

Даже до ухода вендора стоимость Splunk была огромной. Вот реальные цифры для среднего предприятия:

Лицензирование Splunk Enterprise

Инфраструктура для Splunk

Архитектура Splunk vs MEMORIA

Ключевые отличия

// Splunk: индексация события безопасности
event := map[string]interface{}{
    "timestamp": "2026-06-07T10:30:00Z",
    "source": "firewall",
    "severity": "high",
    "src_ip": "192.168.1.100",
    "dst_ip": "10.0.0.50",
    "action": "blocked",
    "rule": "SQL injection attempt",
}
splunkClient.Send(event)
// Задержка: 10-100 ms (индексация, запись на диск)
// Размер: ~500 байт (JSON + инвертированный индекс)

// MEMORIA: запись события безопасности
event := SecurityEvent{
    Timestamp: nowSecCached(),
    Source:    SourceFirewall,
    Severity:  SeverityHigh,
    SrcIP:     ipToUint32("192.168.1.100"),
    DstIP:     ipToUint32("10.0.0.50"),
    Action:    ActionBlocked,
    Rule:      RuleSQLInjection,
}
writeSecurityEvent(event)
// Задержка: 0.94 ns (прямая запись в RAM)
// Размер: 64 байта (бинарный формат)

// Ускорение: в 100 000 раз
// Экономия места: в 8 разСравнение

SIEM и SOC

SIEM (Security Information and Event Management) — это система для сбора, анализа и корреляции событий безопасности из различных источников:

• Firewalls — Cisco ASA, Palo Alto, Fortinet
• IDS/IPS — Snort, Suricata
• Endpoint — антивирусы, EDR
• Applications — веб-серверы, БД
• Network — DNS, DHCP, VPN

Задачи SIEM

1. Сбор логов — агрегация событий из всех источников
2. Нормализация — приведение к единому формату
3. Корреляция — выявление связанных событий
4. Алертинг — уведомления об угрозах
5. Расследование — поиск по историческим данным
6. Отчётность — compliance-отчёты

Анализ угроз в реальном времени

Задача: обнаружение атак в реальном времени

// Splunk: поиск угроз (SPL query)
// index=firewall action=blocked
// | stats count by src_ip
// | where count > 100
// | eval threat="port_scan"
// Задержка: 100-500 ms (поиск по индексам на диске)

// MEMORIA: обнаружение угроз в реальном времени
func detectPortScan(srcIP uint32) {
    // Получаем счётчик блокировок для IP
    peerID := ipToPeerID(srcIP)
    arena := getArena(peerID)
    
    // Чтение счётчика: 0.35 ns
    blockCount := arena.ReadBalance()
    
    // Если > 100 блокировок за минуту — это port scan
    if blockCount > 100 {
        sendAlert("Port scan detected", srcIP, blockCount)
        
        // Блокировка IP на firewall
        blockIP(srcIP)
    }
}

// Запуск проверки каждые 100 ms
// Задержка обнаружения: 100 ms (в 1000-5000 раз быстрее Splunk)

// Ускорение: в 100 000 разGo

Пример: обнаружение brute-force атаки

Корреляция событий безопасности

Задача: выявление сложных атак

Современные атаки — это цепочки событий из разных источников. Например:

1. Reconnaissance — сканирование портов (firewall logs)
2. Initial Access — эксплуатация уязвимости (IDS logs)
3. Execution — запуск вредоносного кода (endpoint logs)
4. Persistence — создание бэкдора (file system logs)
5. Command & Control — связь с C2-сервером (network logs)
6. Exfiltration — кража данных (DLP logs)

// MEMORIA: корреляция событий в реальном времени
func correlateAttack(srcIP uint32) {
    peerID := ipToPeerID(srcIP)
    arena := getArena(peerID)
    
    // Получаем историю событий для IP (последние 10)
    events := arena.GetTransactionHistory()
    
    // Проверяем паттерн атаки
    hasPortScan := false
    hasExploit := false
    hasMalware := false
    
    for _, event := range events {
        switch event.Rule {
        case RulePortScan:
            hasPortScan = true
        case RuleExploit:
            hasExploit = true
        case RuleMalware:
            hasMalware = true
        }
    }
    
    // Если все три этапа — это APT-атака
    if hasPortScan && hasExploit && hasMalware {
        sendCriticalAlert("APT attack detected", srcIP, events)
        
        // Автоматическая изоляция хоста
        isolateHost(srcIP)
        
        // Уведомление SOC
        notifySOC("Critical: APT attack from " + uint32ToIP(srcIP))
    }
}

// Запуск корреляции каждые 100 ms
// Задержка обнаружения APT: 100 ms (в Splunk: 5-10 минут)

// Ускорение: в 3000-6000 разGo

Соответствие требованиям ФСТЭК

ФСТЭК (Федеральная служба по техническому и экспортному контролю) предъявляет строгие требования к SIEM для критической инфраструктуры:

Требования ФСТЭК к SIEM

• Отечественное ПО — включение в реестр Минцифры
• Сертификация — соответствие профилю защиты
• Журналирование — хранение логов не менее 1 года
• Криптография — использование ГОСТ-алгоритмов
• Разграничение доступа — ролевая модель
• Аудит — неизменяемые логи действий администраторов

Как MEMORIA соответствует требованиям

Кейс: миграция крупного банка

Исходная ситуация

Крупный банк: 10 миллионов клиентов, 50 000 транзакций в день. SIEM на Splunk:

Миграция на MEMORIA

// Шаг 1: Анализ источников событий
// Splunk: 50+ источников (firewall, IDS, endpoint, ...)
// MEMORIA: каждый источник = PeerID

// Шаг 2: Миграция парсеров
// Было (Splunk SPL):
// index=firewall action=blocked | stats count by src_ip

// Стало (MEMORIA):
func parseFirewallLog(log []byte) SecurityEvent {
    event := SecurityEvent{
        Timestamp: nowSecCached(),
        Source:    SourceFirewall,
        SrcIP:     parseIP(log[0:4]),
        DstIP:     parseIP(log[4:8]),
        Action:    parseAction(log[8]),
    }
    return event
}

// Шаг 3: Миграция правил корреляции
// Было (Splunk ES):
// rule := "Port scan detected when count > 100"

// Стало (MEMORIA):
func correlateEvents() {
    for _, ip := range activeIPs {
        detectPortScan(ip)
        detectBruteForce(ip)
        detectAPT(ip)
    }
}

// Шаг 4: Параллельная работа
// Splunk и MEMORIA работают одновременно 2 недели
// Верификация: сравнение алертовGo

Результаты после миграции

Ограничения: где Splunk лучше

MEMORIA не заменяет Splunk во всех сценариях. Вот где Splunk остаётся лучшим выбором:

1. Долгосрочное хранение логов

• Splunk: хранит логи годами на диске (PB)
• MEMORIA: хранит только hot-данные в RAM (30 дней)
• Решение: использовать MEMORIA для real-time анализа, холодные логи — в S3/ClickHouse

2. Сложные SPL-запросы

• Splunk: SPL (Search Processing Language) с богатой функциональностью
• MEMORIA: простой API для поиска
• Решение: MEMORIA для real-time, Splunk/ClickHouse для сложной аналитики

3. Готовые приложения

• Splunk: Splunk ES, ITSI, UBA — готовые решения для SIEM
• MEMORIA: требует кастомной разработки
• Решение: использовать MEMORIA как ядро, разрабатывать приложения поверх

4. Интеграции

• Splunk: 1000+ интеграций с вендорами безопасности
• MEMORIA: требует кастомных парсеров
• Решение: использовать syslog/CEF форматы, разрабатывать парсеры

Экономический эффект

Сравнение TCO за 3 года

Источники экономии

1. Упрощение инфраструктуры — 1 сервер вместо 12: $93K
2. Сокращение команды — 2 инженера вместо 5: $760K
3. Отказ от лицензий Splunk — $1.8M
4. Отказ от дополнительных модулей — $1.35M
5. Снижение энергопотребления — $19.5K
6. Отказ от дискового хранилища — $100K

Выводы

MEMORIA заменяет Splunk в 80% сценариев SIEM:

1. Обнаружение угроз — в 100-300 раз быстрее (100 ms vs 10-30 секунд)
2. Корреляция событий — в 3000-6000 раз быстрее
3. Обработка событий — в 300 раз больше (3M events/sec)
4. Экономия TCO — 87.5% ($700K/год для крупного банка)
5. Соответствие ФСТЭК — отечественное ПО, криптография, аудит

В следующей статье мы разберём, как MEMORIA применяется для цифрового рубля — обработки 100 000 TPS с наносекундной задержкой.